CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.10.04)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
A vulnerability in the Windows DWM Core Library allows elevation of privilege. Technical details are not disclosed in the description.
A vulnerability in the Windows MSHTML platform allows a security feature bypass. Technical details are not disclosed in the description.
W produktach GE HealthCare EchoPAC występuje niewystarczająca ochrona danych uwierzytelniających. To może prowadzić do nieautoryzowanego dostępu do wrażliwych informacji.
Podatność typu path traversal w funkcji 'getAllFolderContents' komponentu Common Service Desktop urządzenia ultrasonograficznego GE HealthCare.
An out-of-bounds write vulnerability in V8 in Google Chrome prior to 124.0.6367.207 allows a remote attacker to perform an out-of-bounds memory write via a crafted HTML page. (Chromium security severity: High)
Rozszerzenie przeglądarki Hoppscotch ma krytyczną podatność, która pozwala na wysyłanie wiadomości do rozszerzenia z nieautoryzowanych źródeł. Z powodu pominięcia istotnego sprawdzenia listy źródeł, rozszerzenie przetwarzało te wiadomości, co nie powinno mieć miejsca.
Zidentyfikowano podatność w Tecnomatix Plant Simulation V2302 (wszystkie wersje < V2302.0011). Aplikacja zawiera błąd zapisu poza przydzielonym buforem podczas analizy specjalnie przygotowanego pliku MODEL, co może umożliwić atakującemu wykonanie kodu w kontekście bieżącego procesu.
Zidentyfikowano podatność w systemach CPCI85 Central Processing/Communication (wszystkie wersje < V5.30) oraz SICORE Base system (wszystkie wersje < V1.3.0). Interfejs webowy dotkniętych urządzeń jest podatny na wstrzyknięcie poleceń z powodu braku sanitacji danych wejściowych po stronie serwera.
Zidentyfikowano podatność w urządzeniach CPC80, CPCI85, CPCX26, ETA4, ETA5 oraz PCCX26, które mają niewłaściwe zakończenie null podczas analizy określonego nagłówka HTTP. Może to umożliwić atakującemu wykonanie kodu w kontekście bieżącego procesu lub prowadzić do stanu odmowy usługi.
Zidentyfikowano podatność w SIMATIC RTLS Locating Manager, która dotyczy wszystkich wersji poniżej V3.0.1.1. Klienci SIMATIC RTLS Locating Manager nie sprawdzają poprawnie integralności plików aktualizacji, co może umożliwić nieautoryzowanemu atakującemu modyfikację plików aktualizacji w tranzycie.
W urządzeniach ultrasonograficznych GE HealthCare zidentyfikowano podatności na wstrzykiwanie poleceń systemowych. Atakujący może wykorzystać te luki do wykonania nieautoryzowanych poleceń w systemie operacyjnym urządzenia.
Podatność CVE-2024-1486 dotyczy podniesienia uprawnień w urządzeniach ultrasonograficznych GE HealthCare z powodu błędnie skonfigurowanej listy kontroli dostępu. Może to umożliwić nieautoryzowanym użytkownikom uzyskanie wyższych uprawnień w systemie.
W systemie Contemporary Control System BASrouter BACnet BASRT-B w wersji 2.7.2 odkryto krytyczną podatność. Dotyczy ona nieznanego kodu komponentu Application Protocol Data Unit i prowadzi do odmowy usługi, którą można zainicjować zdalnie.
W podatności CVE-2024-4747 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w systemie Propovoice CRM, co prowadzi do możliwości ataku typu Stored XSS. Problem dotyczy wersji Propovoice CRM od n/a do 1.7.6.2.
Wtyczka Breakdance dla WordPressa jest podatna na zdalne wykonanie kodu we wszystkich wersjach do i włącznie z 1.7.1 poprzez dane meta postów. Problem wynika z przechowywania niestandardowych danych w metadanych bez prefiksu podkreślenia.
Wszystkie wersje EnterpriseDB Postgres Advanced Server (EPAS) od 15.0 do 15.7.0 oraz od 16.0 do 16.3.0 mogą pozwalać użytkownikom korzystającym z edbldr na obejście uprawnień ról z pg_read_server_files. Może to umożliwić użytkownikom o niskich uprawnieniach odczyt plików, do których normalnie nie mieliby dostępu.
Wtyczka XML Sitemap & Google News dla WordPressa jest podatna na Local File Inclusion we wszystkich wersjach do i włącznie z 5.4.8 poprzez parametr 'feed'. Umożliwia to nieautoryzowanym atakującym dołączanie i wykonywanie dowolnych plików na serwerze.
W oprogramowaniu CemiPark występuje problem z kontrolą dostępu, który nieprawidłowo weryfikuje dane wprowadzone przez użytkownika, co umożliwia obejście uwierzytelnienia. Atakujący z dostępem do panelu logowania może zalogować się z uprawnieniami administratora.
Wtyczka LearnPress – WordPress LMS Plugin dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w funkcji 'save_post_materials' w wersjach do 4.2.6.5 włącznie. Umożliwia to uwierzytelnionym atakującym z uprawnieniami na poziomie Instruktora i wyżej przesyłanie dowolnych plików na serwer dotkniętej witryny.
W podatności CVE-2024-4129 w Snow License Manager na systemie Windows występuje niewłaściwa autoryzacja, która pozwala atakującemu w sieci na ominięcie procesu uwierzytelniania, jeśli włączona jest autoryzacja przez Active Directory. Problem dotyczy wersji Snow License Manager od 9.33.2 do 9.34.0.
Vulnerability data from NVD (NIST) · CISA KEV · EPSS